1? 范圍
??? 本標準規定了支撐網在安全等級保護、安全風險評估、災難備份及恢復等方面的安全防護要求。
本標準適用于公眾電信網中的支撐網。
2? 規范性引用文件
??? 下列文件中的條款通過本標準的引用而成為本標準的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內容）或修訂版均不適用于本標準。然而，鼓勵根據本標準達成協議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。
? YD/T 1729-2008??? 電信網和互聯網安全等級保護實施指南
? YD/T 1730-2008??? 電信網和互聯網安全風險評估實施指南
? YD/T 1731-2008??? 電信網和互聯網災難備份及恢復實施指南
? YD/T 1754-2008??? 電信網和互聯網物理環境安全等級保護要求
? YD/T 1756-2008??? 電信網和互聯網管理安全等級保護要求
3? 術語和定義
??? 下列術語和定義適用于本標準。
3.1
??? 支撐網安全等級 Security Classification of Supporting Network
??? 支撐網安全重要程度的表征，重要程度可從支撐網受到破壞后，對國家安全、社會秩序、經濟運行、公共利益、網絡和業務運營商造成的損害來衡量。
3.2
??? 支撐網安全等級保護 Classified Security Protection of Supporting Network
??? 對支撐網分等級實施安全保護。
3.3
??? 組織 Organization
??? 組織是由不同作用的個體為實施共同的業務目標而建立的結構，組織的特性在于為完成目標而分工、合作；一個單位是一個組織，某個業務部門也可以是一個組織。
3.4
??? 支撐網安全風險 Security Risk of Supporting Network
??? 人為或自然的威脅可能利用支持網中存在的脆弱性導致安全事件的發生及其對組織造成的影響。
3.5
??? 支撐網安全風險評估 Security Risk Assessment of Supporting Network
??? 指運用科學的方法和手段，系統地分析支撐網所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和安全措施。防范和化解支撐網安全風險。或者將風險控制在可接受的水平，為最大限度地為保障支撐網的安全提供科學依據。
3.6
??? 支撐網資產 Asset of Supporting Network
??? 支撐網中具有價值的資源，是安全防護保護的對象。支撐網中的資產可能以多種形式存在，無形的、有形的、硬件、軟件，包括物理布局、通信設備、物理線路、數據、軟件、文檔、規程、業務、人員、管理等各種類型的資源，如網絡管理系統、計費系統等。
3.7?
??? 支撐網資產價值 Asset Value of Supporting Network
??? 支撐網中資產的重要程度或敏感程度。資產價值是資產的屬性，也是進行資產識別的主要內容。
3.8
??? 支撐網威脅 Threat of Supporting Network
??? 可能導致對支撐網產生危害的不希望事故的潛在起因，它可能是人為的，也可能是非人為的：可能是無意失誤，也可能是惡意攻擊。常見的支撐網威脅有黑客入侵、硬件故障、人為操作失誤、火災、水災等等。
3.9
??? 支撐網脆弱性 Vulnerability of Supporting Network
??? 支撐網脆弱性是指支撐網中存在的弱點、缺陷與不足，不直接對資產造成危害-但可能被威脅所利用從而危害資產的安全。
3.10
??? 支撐網災難 Disaster of Supporting Network
??? 由于各種原因，造成支撐網故障或癱瘓，使支撐網的功能停頓或服務水平不可接受、達到特定的時間的突發性事件。
3.11
??? 支撐網災難備份 Backup for Disaster Recovery of Supporting Network
??? 為了支撐網災難恢復而對相關網絡要素進行備份的過程。
3.12
??? 支撐網災難恢復 Disaster Recovery of Supporting Network
為了將支撐網從災難造成的故障或癱瘓狀態恢復到正常運行狀態成都分正常運行狀態、并將其功能從災難造成的不正常狀態恢復到可接受狀態，而設計的活動和流程。
?
4?? 支撐網安全防護概述
?
4.1? 支撐網安全防護范圍
??? 支撐網是獨立于業務兩之外的用于支持阿絡及設備維護、業務運營和賬務管理的綜合信息系統所組成的網絡。本標準中支撐網的安全防護范圍包括網管系統和業務運營支捧系統。本標準中的網管系統覆蓋以下網絡：固定通信網、移動通信網、消息網、智能網、接入網、傳送網、IP承載網、信令網、同步網。本標準中的業務運營支撐系統包括計費系統、營業系統、賬務系統。
4.2? 支撐網安全防護內容
??? 根據電信網和互聯網安全防護體系的要求，將支撐網安全防護內容分為安全等級保護、安全風險評估、災難備份及恢復等3個部分。
? ??——支撐網安全等級保護
?? ?主要包括業務安全、網絡安全、主機安全、應用安全、數據安全及備份恢復、物理環境安全、管理安全等。
? ??——支撐網安全風險評估
? ??主要包括資產識別、脆弱性識別、威脅識別、已有安全措施的確認、風險分析、風險評估文件記錄等，本標準文件僅對支撐網進行資產分析、脆弱性分析、威脅分析，在支撐網安全風險評估過程中確定各個資產、脆弱性、威脅的具體值。資產、脆弱性、威脅的賦值方法及資產價值、風險值的計算方法參見YD/T 1730-2008《電信網和互聯網安全風險評估實施指南》。
? ??——支撐網災難備份及恢復
主要包括災難備份及恢復等級確定、針對災難備份及恢復各資源要素的具體實施等。
?
5? 支撐網定級對象和安全等級確定
?
本標準文件中支撐網的定級對象為各類網管系統和業務運營支撐系統，可按照全國、省和地市將各個系統分為不同級別。網絡和業務運營商應根據YD/T 1729-2008《電信網和互聯網安全等級保護實施指南》中確定安全等級的方法對支撐網進行定級，即根據社會影響力、所提供服務的重要性、規模和服務范圍的大小對各類網管系統和業務運營支撐系統分別定級。定級方法中的權重α、β、γ可根據具體網絡情況進行調節。
?
6? 支撐網資產、脆弱性、威脅分析
?
6.1? 資產分析
??? 支撐網的資產可分為設備硬件、軟件、數據、網絡、服務、文檔和人員等．表l給出支撐網的資產列表。
表1 ?支撐網資產列表
?
?分類 | ??? 示例 |
? 設備硬件 | 支撐網中的各種主機設備，網絡設備 |
? 設備軟件 | 設備中的軟件，包括操作系統、中間件軟件、數據庫軟件、應用軟件等 |
? ? 重要數據 | 保存在設備上的各種重要數據，包括網元和網絡配置數據、管理員操作維護記錄、用戶信息、計費數據和賬單等 |
? 同絡 | 承載支撐網的網絡 |
? 服務 | 賬單服務等 |
? ? 文檔 | 紙質以及保存在電腦中的各種文件。如設計文檔、技術要求、管理規定（機構設置、管理制度、人 員管理辦法）、工作計劃、技術或財務報告、用戶手冊等 |
? 人員 | 管理人員，掌握重要技術的人員，如網絡維護人員、設備維護人員、研發人員鋒 |
6.2? 脆弱性分析
? ??支撐網的脆弱性可分為技術脆弱性和管理脆弱性兩方面。表2給出支撐網的脆弱性列表。
?
?
?
表2? 支撐網脆弱性列表
?
??? 類型 | ??? 對象 | ??? 存在的脆弱性 |
? ? ? 技術脆弱性 ? ? | ? 服務，應用 | 由于網絡和設備的處理或備份能力不夠而導致服務提供不連續 |
? ??? 網絡 | 網絡拓撲設計不合理，無冗余鏈路，單點故障隱患，與互聯網連接造成的訪問控制 漏洞 |
設備（軟件、硬 ? 件和數據） | 設備老化、系統設計缺陷、無數據備份、無過載保護、無防病毒黑客攻擊的手段等 系統存在可技外界利用的漏洞 |
? ? ?物理環境 | 機房場地選擇不合理，防火、供配電、防靜電、接地與防霄、電磁防護、溫濕度控 制不符合規范I通信線路、機房設備的保護不符合規范 |
? ? ? ? ? ??? ???管理脆弱性 ? ? ? ? ? | ? (1)安全管理機構方面：崗位設置不合理（如人員配置過少、職責不清）、授權 和審批程序簡化、溝通和合作未執行、審核和檢查未執行等： ? (2)安全管理制度方面：管理審|度不完善、制度評審和修訂不及時等； ? (3)人員安全管理方面；人員錄用不符合程序、人員離崗未辦理安全手續、人員 束進行安全培訓、對于外部人員未進行限制訪問等； ? (4)建設管理方面：安全方案不完善、軟件開發不符合程序、工程實施未進行安 全驗收或驗收不嚴格等； ? (5)運維管理方面：物理環境管理措施簡單、存儲介質使用不受限、設備沒有定 期維護、廠家支持力度不夠、關鍵性能指標沒有定期監控、無惡意代碼防范措施、 無數據備份和恢復策略、訪問控制不嚴格、操作管理不規范等，應急保障措施不到 位等 |
6.3? 威脅分析
?支撐網的威脅可分為設備威脅、環境威脅和人為威脅．環境威脅包括自然界不可抗的威脅和其他物理威脅。根據威脅的動機，人為威脅又可分為惡意和非惡意兩種。表3給出支撐網的威脅列表。
? ??表3? 支撐網威脅列表
?
??? 來源 | ??? 威脅描述 |
設備威脅 | 各類設備本身的軟硬件故障，設備和介質老化造成的數據丟失，系統宕機 |
? ? ?? 環境成脅 | 物理環境 | 斷電、靜電、灰塵、潮濕、溫度、電磁干擾等I意外事故或通信線路方面的故障 |
自然災害 | 鼠蚊蟲害、洪災、火災、泥石流、山體滑坡、地震、臺風、雷電 |
? ? ? ? 人為威脅 ? ? ? ? | ? ? 惡意人員 ? | 不滿的或有預謀的內部人員濫用權限進行惡意破壞； 采用自主或內外勾結的方式盜竊或篡改機密信息； 外部人員利用惡意代碼和病毒對網絡或系統進行攻擊； 外部人員進行物理破壞、盜竊等 |
? ? 非惡意人員 ? ? | 內部人員由于缺乏責任心或者無作為而沒有執行應當執行的操作，或無意地執行了 錯誤的操作導致安全事件； 內部人員沒有遵循規章制度和操作流程而導致故障或信息損壞； 內部人員由于缺乏培訓、專業技能不足、不具備崗位技能要求而導致故障或攻擊； 安全管理制度不完善、落實不到位造成安全管理不規范或者管理混亂導致安全事件 |
?
7? 支撐網安全等級保護要求
?
7.1? 第1級要求
??? 不作要求。
7.2? 第2級要求
7.2.1?業務安全
??? a)? 計費系統要求不間斷運行，全年中斷時間應符合電信運營企業的相關要求；
??? b)? 計費系統中斷后應當對中斷期間未采集的數據進行補采；
??? c)? 計費系統定時對計費信息等數據進行備份，保證計費信息不丟失，計費數據在系統中保存的時間應符合相關要求（至少3個月）；
??? d)? 賬務系統應當確保賬單的準確性，保證賬單不重復、不丟失、不被修改。
7.2.2?網絡安全
7.2.2.1? 結構安全
??? a)? 應保證關鍵網絡設備的業務處理能力具備冗余空間，滿足業務高峰期需要；
??? b)? 應保證接入網絡和核心網絡的帶寬滿足業務高峰期需要；
??? c)? 應繪制與當前運行情況相符的網絡拓撲結構圖；
??? d)? 應根據各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的予網或網段，并按照方便管理和控制的原則為各子網、網段分配地址段。
7.2.2.2? 訪問控制
??? a)? 應在網絡邊界部署訪問控制設備，啟用訪問控制功能；
??? b)? 應能根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力，控制粒度為網段級；
??? c)? 應按用戶和系統之間的允許訪問規則，決定允許或拒絕用戶對受控系統進行資源訪問，控制粒度為單個用戶。
7.2.2.3? 安全審計
??? a)? 應對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；
??? b)? 審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息。
7.2.2.4? 邊界完整性檢查
??? 應能夠對內部網絡中出現的內部用戶未通過準許私自聯到外部網絡的行為進行檢查。
7.2.2.5? 入侵防范
??? 應在網絡邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等。
7.2.2.6網絡設備防護
??? a)? 應對登錄網絡設備的用戶進行身份鑒別；
??? b)? 應對網絡設備的管理員登錄地址進行限制;
??? c)? 網絡設備用戶的標識應惟一；
??? d)? 身份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換；
??? e)? 應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施;
?? ?f)? 當對網絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽。
7.2.3?主機安全
7.2.3.1? 身份鑒別
??? a)? 應對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別；
??? b)? 操作系統和數據庫系統管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換；
??? c)? 應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施；
??? d)? 當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網絡傳輸過程中被竊聽；
??? e)? 應為操作系統和數據庫系統的不同用戶分配不同的用戶名，確保用戶名具有惟一性。
7.2.3.2? 訪問控制
??? a)? 應啟用訪問控制功能，依據安全策略控制用戶對資源的訪問；
??? b)? 應實現操作系統和數據庫系統特權用戶的權限分離；
??? c)? 應限制默認賬戶的訪問權限，重命名系統默認賬戶，修改這些賬戶的默認口令；
??? d)? 應及時刪除多余的、過期的賬戶，避免共享賬戶的存在。
7.2.3.3? 安全審計
??? a）?審計范圍應覆蓋到服務器上的每個操作系統用戶和數據庫用戶；
??? b)? 審計內容應包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件；
??? c)? 審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；
??? d)? 應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。
7.2.3.4? 入侵防范
??? 操作系統應遵循最小安裝的原則，僅安裝需要的組件和應用程序，保持系統補丁及時得到更新。
7.2.3.5? 惡意代碼防范
??? a)? 應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；
??? b） 應支持防惡意代碼軟件的統一管理。
7.2.3.6? 資源控制
??? a)? 應通過設定終端接入方式、網絡地址范圍等條件限制終端登錄；
??? b)? 應根據安全策略設置登錄終端的操作超時鎖定；
??? c)? 應限制單個用戶對系統資源的最大或最小使用限度。
7.2.4?應用安全
7.2.4.1? 身份鑒別
??? a)? 應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；
??? b)? 應提供用戶身份標識惟一和鑒別信息復雜度檢查功能，保證應用系統中不存在重復用戶身份標識，身份鑒別信息不易被冒用；
??? c)? 應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施；
??? d)? 應啟用身份鑒別、用戶身份標識惟一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據安全策略配置相關參數。
施工現場安全質量隱患類別和常見形式
施工現場安全施工注意事項
